w309400825 2019-01-17 10:06 采纳率: 0%
浏览 528

通过验证session是否过期来确定用户是否已通过登录验证的方式有哪些安全问题？

不过是C#还是php我之前的代码都是：用户通过账号密码登录，我验证正确之后把用户信息保存在session中，因为session的信息是和该用户绑定的，所以每次用户发送请求过来之后，我都判断session是否存储有用户信息，如果有，那么就是已登录状态的，给他处理接下来的请求，用户退出则清除session信息即可。
请问一下，使用这种方式来验证请求是否合法的方式有什么安全隐患吗？跟生成token的验证方相比式有哪些安全上的缺陷吗？

  • 写回答

3条回答 默认 最新

  • 临窗，听雨声 2019-01-17 10:31
    关注

    用户量大了之后 session 可能存不下，其实主要的还是不利于做分布式系统。比如说单点登录

    评论

报告相同问题？

悬赏问题

  • ¥15 如何在scanpy上做差异基因和通路富集？
  • ¥20 关于#硬件工程#的问题，请各位专家解答！
  • ¥15 关于#matlab#的问题：期望的系统闭环传递函数为G(s)=wn^2/s^2+2¢wn+wn^2阻尼系数¢=0.707，使系统具有较小的超调量
  • ¥15 FLUENT如何实现在堆积颗粒的上表面加载高斯热源
  • ¥30 截图中的mathematics程序转换成matlab
  • ¥15 动力学代码报错，维度不匹配
  • ¥15 Power query添加列问题
  • ¥50 Kubernetes&Fission&Eleasticsearch
  • ¥15 報錯：Person is not mapped，如何解決？
  • ¥15 c++头文件不能识别CDialog